群晖 NAS 勒索事件引热议：你的公网入口，谁在把关？

网络防护选雷池
网络防护选雷池

雷池SafeLine

2026年10月30日 21:02
浙江

去阅读

继此前的 PHP （PHP 高危漏洞，雷池率先发布应对规则）漏洞话题之后，这两天，群晖 NAS 勒索事件又在雷池社群里引发了讨论。

补丁早就有了。没升上去的群晖，这周正在被加密。

这几天大量群晖 NAS 中了 C3RB3R，文件被改成 .L0CK3D。群晖 10 月 29 日已经确认：打的是 2024 年 12 月就修好的远程代码执行漏洞 CVE-2024-10441，目标就是还在跑旧 DSM 的设备。安全厂商同时指向今年 9 月公开的 CVE-2026-13639、CVE-2026-13684，都是 CVSS 9.8、未登录即可读写任意文件。补丁在 9 月 18 日就发了，一个多月后还在被当 1day 打。不是没有补丁，是补丁没装上。

图源：群晖官方公告，2026 年 10 月 29 日。

尚未完成安全更新的设备，需要尽快核对修复状态，并尽快通过官方更新通道完成升级更新。管理口 5000/5001 是否直接映射到公网，也值得马上检查。对于暂时无法升级的设备，应优先收紧外部访问，并根据设备型号和 DSM 版本确认适用的安全更新。

DSM 的管理面就是一个网站。所有接口都进 /webapi/entry.cgi，群晖自己没有 Web 层防护。利用请求只要打到这个入口，WAF 可以在它碰到 NAS 之前丢掉。

不同来源对攻击入口的描述存在差异，不能把所有案例归为同一个漏洞。但已知漏洞已有补丁，仍值得每一位 NAS 用户立即检查。

除了补丁，还要检查访问入口和备份

NAS 的风险排查不能只看版本号，还要看哪些服务能被外部直接访问：

• 收回非必要的公网入口。

检查 5000/5001 管理端口、SSH、端口映射、IPv6 和穿透服务。远程管理优先通过 VPN，并限制访问来源。
* 检查账号安全。

排查异常登录、陌生账号及权限变更，启用多因素认证。账号保护与漏洞修复需要同时做好。
* 验证备份可恢复。

保留离线或不可变备份，并实际测试恢复流程，避免备份与原始数据一起受到影响。
* 为必须开放的 Web 服务增加防护。

接入雷池等 WAF 时，同时限制源站直连，确保请求经过检测；WAF 是补充防线，不能替代补丁和备份。

雷池社区这两天已经拦住了对 entry.cgi 的命令注入探测：同一个来源，443 和 5001 一起打。根据目前提供的社区反馈，已有用户在雷池中看到针对 /webapi/entry.cgi 的命令注入请求被拦截。

这类记录说明雷池对相关 Web 攻击请求进行了检测和拦截，尚不能据此认定请求属于本轮勒索攻击，或证明雷池能够阻断其完整攻击链。

雷池 SafeLine 社区版可以为接入的 HTTP/HTTPS 服务提供补充防护。对于确需保留的 Web 入口，可以结合访问控制部署使用；暂时无法升级的设备，则应先收紧访问，再补充防护措施。

雷池专业版试用

希望进一步体验雷池功能的用户，可通过官方版本页申请专业版试用，体验加强 Web 攻击防护、流量统计分析等能力。

欢迎加入雷池交流群，交流 NAS Web 服务接入、防护配置和日常运维经验。

长按识别二维码，加入雷池交流群。